Scoperta Sistemi Remoti: Remote System Discovery (T1018)
La tecnica T1018 - Remote System Discovery appartiene alla tattica TA0007 (Discovery) del framework MITRE ATT&CK e descrive le attività con cui un avversario, una volta ottenuto un punto d'appoggio su un host, cerca di enumerare gli altri sistemi raggiungibili sulla rete interna tramite indirizzo IP, hostname o identificatori logici.
Questa ricognizione post-compromise è il ponte naturale verso il Lateral Movement: senza una mappa dei bersagli, l'attaccante non può pianificare pivoting, distribuzione di ransomware o esfiltrazione mirata. Le tecniche spaziano dall'uso di utility native come ping, net view, nltest, arp, fino all'analisi passiva di file locali come C:\Windows\System32\Drivers\etc\hosts, /etc/hosts e cache ARP, oppure a comandi CLI su apparati di rete come show cdp neighbors e show arp. Su ipervisori ESXi trova impiego esxcli network diag ping.
I dati MITRE censiscono 39 gruppi APT, 52 famiglie di software e 8 campagne documentate che ricorrono a questa tecnica, con un ventaglio che va da attori state-sponsored come Turla, APT29 (SolarWinds Compromise), Sandworm Team (attacchi alla rete elettrica ucraina) fino a operatori ransomware come Akira, BlackByte, Black Basta, Conti e Play. La pervasività riflette una realtà operativa: qualunque intrusione con obiettivi oltre la singola macchina passa da questa fase.
In un ingaggio red team la ricognizione dei sistemi remoti va condotta minimizzando il rumore. Il punto di partenza è sempre l'osservazione passiva: leggere C:\Windows\System32\drivers\etc\hosts, la cache ARP con arp -a, la tabella di routing con route print e le connessioni attive con netstat -ano fornisce già una prima mappa senza generare traffico.
Sul fronte Windows, i comandi nativi restano insostituibili per blending. net view elenca le share visibili nel dominio, net view /domain enumera i domini trust, mentre net group "Domain Controllers" /domain e net group "Domain Computers" /domain — pattern osservato in Turla e HAFNIUM — recuperano gli asset critici. nltest /dclist:
Per enumerazioni LDAP più profonde senza toccare strumenti Microsoft, AdFind (gratuito) resta lo standard de facto usato da Mustang Panda, Play e APT29; una query tipica è adfind -f "objectcategory=computer" -csv name operatingSystem dNSHostName. BloodHound con collector SharpHound (open source) permette di modellare graficamente relazioni di dominio e path di attacco. PowerView (open source), sfruttato da Indrik Spider, offre cmdlet come Get-NetComputer e Get-NetDomainController eseguibili in-memory.
Per lo scanning attivo, se il rumore è accettabile, Nmap (open source) con -sn per host discovery ICMP/ARP resta il riferimento, mentre MASSCAN (open source) — adottato da Ember Bear e Akira — copre grandi range in tempi ridotti. NBTscan (open source), impiegato da APT39, GALLIUM, Agrius e Naikon, enumera nomi NetBIOS su segmenti /24. Angry IP Scanner (open source) è stato usato da Fox Kitten, Advanced IP Scanner (gratuito) da Akira.
Su Linux l'operatività è simmatica: ip neigh show, cat /etc/hosts, cat ~/.ssh/known_hosts — pattern osservato in Rocke e Kinsing — rivelano host già contattati. Su ESXi il comando lecito è esxcli network diag ping -H
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo